Sentinel-, Defender- und Key-Vault-Preise

Microsoft Sentinel Kosten entstehen je Gigabyte, das der Log-Analytics-Workspace aufnimmt und Sentinel analysiert, Defender for Cloud berechnet seine Pläne je geschützter Ressource und Stunde oder Monat, und Key Vault berechnet Vorgänge je 10.000 Aufrufe sowie HSM-geschützte Schlüssel je Schlüssel und Monat. Die Rechnung dominiert fast immer das Datenvolumen von Sentinel, weil jedes aufgenommene Gigabyte Aufnahme und Analyse zugleich bezahlt; die Defender-Pläne wachsen mit der Zahl der Server und Datenbanken, und Key Vault bleibt klein, solange kein Managed-HSM-Pool rund um die Uhr läuft.

Preisdimensionen

Die drei Dienste teilen sich eine Eigenschaft: Fast nichts davon ist eine Reservierung oder ein Savings Plan, die einzige Commitment-Form sind die Commitment Tiers von Sentinel und Log Analytics. Alles andere ist Verbrauch je Tag, je Stunde oder je Vorgang.

So erscheint es in den Abrechnungsdaten

Der Kostenexport trägt für jede Zeile einen Zähler mit MeterCategory, MeterSubCategory und MeterName; die Retail-Prices-API listet dieselben Namen als serviceName, productName und meterName. Die Zuordnung für die drei Dienste:

Drei Dinge landen auf anderen Zählern. Die Aufnahme durch den Azure-Monitor-Agenten und die Aufbewahrung über 90 Tage hinaus stehen auf Log Analytics, dessen Preise die Seite zu Azure Monitor und Log Analytics hält. Das Datenkontingent von Defender for Servers Plan 2 erscheint nicht auf der Rechnung, weil es null kostet, aber als eigene Zeile mit Kosten null im Export, zusammen mit dem Defender-XDR-Benefit. Playbooks und Konnektoren von Sentinel laufen als Logic Apps und Azure Functions mit eigenen Zählern, und Storage-Konten für Exporte erscheinen unter Blob Storage.

Im FOCUS-Export fasst ServiceName die Ressourcen nach Microsofts eigener Zuordnung zusammen, x_SkuMeterCategory, x_SkuMeterSubcategory und SkuMeter tragen die Azure-Zählernamen, und ChargeCategory ist für alle hier genannten Zähler Usage, auch für die Commitment Tiers, die als Tageszähler und nicht als Kauf abgerechnet werden; PricingCategory bleibt Standard. Wie der Export aufgebaut wird und welche Spalten die beiden Formate tragen, steht unter Azure-Kostenexporte und FOCUS-Spalten.

Stellhebel

Konfiguration. Der größte Hebel ist, was überhaupt in die Analytics-Ebene fließt: Tabellen mit hohem Volumen und geringem Ermittlungswert gehören in Basic, Auxiliary oder die Lake-Ebene, und Datensammlungsregeln filtern vor der Aufnahme; die Mechanik beschreibt Observability, Logging und Monitoring. In den Defender-Konnektoren lassen sich die kostenlosen Warnungstabellen ohne die bezahlten Rohprotokolle aktivieren. Defender-Pläne werden je Abonnement geschaltet und berechnen jeden Knoten, auch in Entwicklungs- und Testabonnements; wer sie dort nicht braucht, schaltet sie ab, und die Regeln dafür gehören in Kostenrichtlinien. Bei Key Vault zählt jede Schlüsselversion als Schlüssel: Rotationsrichtlinien mit kurzen Intervallen vervielfachen HSM-geschützte Schlüssel, und ein Vault in Standard reicht, wo softwaregeschützte Schlüssel genügen.

Kaufoption. Sobald der Workspace gleichmäßig mehr als die unterste Stufe aufnimmt, senkt ein Commitment Tier den effektiven Preis je GB; die Stufe lässt sich jederzeit erhöhen und nur alle 31 Tage senken, also gehört sie zur Commitment-Strategie und nicht in eine Spontanentscheidung. Für Knoten mit MDATP-Benefit führt die API einen eigenen, günstigeren Zähler für Plan 2.

Architektur. Ein Workspace je Mandant bündelt das Volumen in einer Stufe, statt mehrere Workspaces unter der Schwelle zu halten. Das 500-MB-Kontingent von Plan 2 gilt für die Summe aller Knoten eines Abonnements im Workspace, sodass wenige geschwätzige Server durch viele stille ausgeglichen werden. Managed HSM lohnt nur, wo ein Single-Tenant-HSM gefordert ist; ein Pool kostet je Stunde, ob er zehn Schlüssel hält oder keinen, und leere Test-Pools sind ein Fall für ungenutzte und verwaiste Ressourcen.

Wo es schiefgeht

• Zwei Posten für ein Gigabyte. In der klassischen Stufe stehen Aufnahme unter Log Analytics und Analyse unter Sentinel getrennt; wer nur einen Posten betrachtet, unterschätzt den Preis je GB um die Hälfte. Die Preisstufe steht in den Sentinel-Einstellungen.
• Commitment Tier über dem Volumen. Die Tagesgebühr fällt unabhängig vom tatsächlichen Volumen an, und die Stufe lässt sich nur alle 31 Tage senken. Vor der Wahl das Tagesvolumen der letzten Wochen aus dem Export lesen.
• Rohprotokolle statt Warnungen. Die Warnungen aus Defender XDR, Defender for Endpoint oder Entra ID Protection sind kostenlos, ihre Rohprotokolle nicht. Im Konnektor prüfen, welche Datentypen aktiv sind.
• Defender-Knoten in jedem Abonnement. Ein Plan gilt für alle Ressourcen des Abonnements, auch für Testserver, die nur Stunden laufen. Nach ProductName und Abonnement gruppieren.
• Transaktionen und Malware-Scans in Defender for Storage. Beide wachsen mit Upload-Volumen, nicht mit der Zahl der Konten; die Obergrenze für den Scan setzen.
• Schlüsselversionen in Key Vault Premium. Jede Version eines HSM-geschützten Schlüssels, die in den letzten 30 Tagen genutzt wurde, kostet den Monatspreis, nicht anteilig. Rotationsintervalle und alte Versionen prüfen.
• Ein vergessener HSM-Pool. Managed HSM berechnet die Stunde, nicht den Schlüssel; ein Pool aus einem Proof of Concept läuft weiter.
• Entra ID auf der Azure-Rechnung gesucht. P1 und P2 sind Benutzerlizenzen und erscheinen nicht im Azure-Kostenexport.

Beispiel

Germany West Central, EUR-Listenpreise der Azure-Retail-Prices-API, gelesen am 2026-10-21. Sentinel in der vereinfachten Stufe berechnet 4,919 EUR je GB (Pay-as-you-go Analysis), die reine Log-Analytics-Aufnahme ohne Sentinel 2,6311 EUR je GB (Analytics Logs Data Ingestion); Sentinel fügt dem Gigabyte also 2,2879 EUR hinzu, fast eine Verdopplung. Die Stufe mit 100 GB je Tag kostet bei Sentinel 336,8884 EUR je Tag, nach Microsofts Rechenweg 3,3689 EUR je GB, bei Azure Monitor ohne Sentinel 222,4921 EUR je Tag oder 2,2249 EUR je GB. Basic Logs analysiert Sentinel für 1,012 EUR je GB, der Data Lake nimmt für 0,0572 EUR je GB auf, speichert für 0,0211 EUR je GB und Monat und fragt für 0,0057 EUR je gescanntem GB ab. Defender for Servers kostet 0,0059 EUR (Plan 1) und 0,0176 EUR (Plan 2) je Knoten und Stunde, Defender for Storage 0,0118 EUR je Konto und Stunde plus 0,1313 EUR je Million Transaktionen und 0,132 EUR je gescanntem GB, Defender for SQL 0,0177 EUR je Instanz und Stunde, Defender for Containers 0,0083 EUR je vCore und Stunde plus 0,2552 EUR je Image, Defender for App Service 0,0176 EUR je Knoten und Stunde. Key Vault berechnet 0,0264 EUR je 10.000 Vorgänge und 0,132 EUR je 10.000 Vorgänge mit erweiterten Schlüsseltypen, 0,88 EUR je HSM-geschütztem RSA-2048-Schlüssel und Monat, erweiterte HSM-Schlüssel gestaffelt mit 4,3999 EUR für die ersten 250, 2,1999 EUR bis 1.500, 0,792 EUR bis 4.000 und 0,352 EUR darüber, 0,88 EUR je automatischer Rotation und 2,6399 EUR je Zertifikatserneuerung; ein Managed-HSM-Pool Standard B1 kostet 2,8159 EUR je Stunde. Die Zahlen zeigen, dass das Datenvolumen von Sentinel die Rechnung trägt und ein einzelner HSM-Pool mehr kostet als Tausende Vault-Vorgänge.

Quellen

Gelesen am 2026-10-21. Microsoft Learn: Plan costs and understand pricing and billing, Microsoft Sentinel, Use the data ingestion benefit in Microsoft Defender for Cloud, Microsoft Defender for Cloud overview, Azure Key Vault overview, Azure Key Vault Managed HSM overview, Azure Key Vault pricing (Staffeln und Abrechnungsregeln), Microsoft Entra pricing, Understand usage details fields, FOCUS cost and usage details file schema, Update reports to use FOCUS columns. Preise: Azure-Retail-Prices-API, EUR, Germany West Central, für Sentinel, Microsoft Defender for Cloud, Key Vault, Log Analytics und die Commitment Tiers von Azure Monitor; die API dokumentiert ihre Filter unter Azure Retail Prices REST API.